Montagmorgen: Als Datenschutzbeauftragter (DSB) geben Sie gerade ein Update zum DSGVO-Umsetzungsstand für den Vorstand frei, während Sie gleichzeitig eine Anfrage aus der Produktentwicklung bearbeiten, ob eine neue Funktion die Rechtsgrundlage gemäß Artikel 6 verändert. Was Sie bis Tagesende benötigen, ist nicht einfach „mehr Überwachung“. Sie brauchen eine Benachrichtigung, die die Änderung identifiziert, sie mit Ihren Verarbeitungstätigkeiten verknüpft und aufzeigt, welche internen Aufgaben vor Ablauf der Frist erledigt werden müssen. Hier setzt die KI als System für die erste Analyse an: Sie generiert eine Benachrichtigung über die Änderung sowie eine Einschätzung der Auswirkungen, damit Sie schnell und rechtssicher über die Compliance-Relevanz entscheiden können.
Eine nützliche KI-Benachrichtigung über Änderungen ist so strukturiert, dass sie auch einer Prüfung (Audit) standhält. Sie benennt den Rechtsrahmen und die Jurisdiktion, führt die maßgebliche Quelle an, präzisiert die Änderung und schlägt einen internen Verantwortlichen sowie die nächsten Schritte vor. Das Ergebnis ist keine abschließende Compliance-Bewertung. Vielmehr handelt es sich um eine Triage und Einordnung, die es Ihnen ermöglicht zu entscheiden, ob Sie das Verzeichnis von Verarbeitungstätigkeiten (Artikel 30), die Aufbewahrungspraktiken im Sinne der Speicherbegrenzung (Artikel 5 Abs. 1 Buchst. e), die Löschverfahren (Artikel 17) oder die Incident-Runbooks (die als Grundlage für die Fristen bei der Meldung von Datenschutzverletzungen dienen, Artikel 33) aktualisieren müssen. Zur Veranschaulichung betrachten wir einen realistischen Posteingang und entscheiden, welche Punkte zuerst priorisiert werden sollten.
In einem ausgereiften Prozess zur Nachverfolgung von Änderungen liegt der Engpass selten darin, zu erkennen, dass „etwas passiert ist“. Die eigentliche Herausforderung besteht darin, eine Flut von Aktualisierungen in eine überschaubare Anzahl für das Unternehmen relevanter Verpflichtungen zu überführen und diese mit ausreichend Kontext an die zuständigen Verantwortlichen weiterzuleiten, damit diese handeln können. KI lässt sich an vier Punkten dieser Kette optimal zur Beschleunigung von Vollständigkeitsprüfungen und zur Triage (Priorisierung und Zuordnung) einsetzen, während die Entscheidungsgewalt und die finale Freigabe beim Compliance-Verantwortlichen verbleiben.
Das KI-Monitoring bildet die Eingangsebene. Es erstellt eine Zusammenfassung, die neue Meldungen nach Rechtsrahmen, Behörde und Thema gruppiert, sodass kein manuelles Abrufen verschiedener Quellen erforderlich ist. Die nächste Ebene ist die Relevanzfilterung. Hierbei wird eine KI-gestützte Relevanzanalyse erstellt, die eine Aktualisierung Ihren bekannten Verarbeitungskontexten, Produkten oder Datenkategorien zuordnet und aufzeigt, warum sie von Bedeutung sein könnte. Darauf folgt die Bewertung der Auswirkungen (Impact Framing). Dabei wird ein Hinweis zu den Auswirkungen generiert, der die Aktualisierung in konkrete interne Anpassungsnotwendigkeiten übersetzt – etwa für Richtlinien, Kontrollen oder Nachweise. Die letzte Ebene ist das Workflow-Routing. Hierbei wird ein Vorschlag zur Aufgabenverteilung erstellt, der einen Verantwortlichen benennt, eine Frist vorschlägt und die zu aktualisierenden Artefakte – wie etwa einen Eintrag im Verzeichnis von Verarbeitungstätigkeiten (VVT) oder einen Aufbewahrungsplan – aufführt. Wir vergleichen diesen KI-gestützten Ansatz mit der manuellen Überwachung anhand der für Audits entscheidenden Kriterien.